Worm Agobot.ez problem

Af Semibruger Black | 30-05-2004 09:26 | 1454 visninger | 10 svar, hop til seneste

Jeg kæmper på livet løs mod denne virus/orm... AGOBOT.EZ ligger her: C:WINDOWSSystem32WinMgnt.exe i følge virusscanner.. Jeg har virklig seriøs brug for hjælp. Min virusscanner Pc-cillin 2002 "updatret" finder dem, men er ikke i stand til at komme af med den. Har også haft Sasser worm, men tror ikke den er helt væk endnu. Men her er hijackthis log: Logfile of HijackThis v1.97.7 Scan saved at 09:27:14, on 30-05-2004 Platform: Windows XP SP1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:WINDOWSSystem32smss.exe C:WINDOWSsystem32winlogon.exe C:WINDOWSsystem32services.exe C:WINDOWSsystem32lsass.exe C:WINDOWSsystem32svchost.exe C:WINDOWSSystem32svchost.exe C:ProgrammerSygateSPFsmc.exe C:WINDOWSExplorer.EXE C:ProgrammerTrend MicroPC-cillin 2002PCCClient.exe C:WINDOWSSystem32RUNDLL32.EXE C:ProgrammerMessengermsmsgs.exe C:WINDOWSSystem32ctfmon.exe C:WINDOWSsystem32spoolsv.exe C:WINDOWSSystem32WinMgnt.exe C:ProgrammerTrend MicroPC-cillin 2002PCCPFW.exe C:ProgrammerInternet Exploreriexplore.exe C:Documents and SettingsPitzblackDokumenterDownloadDriverVirus stuffhjt.exe R1 - HKCUSoftwareMicrosoftWindowsCurrentVersionInternet Settings,ProxyOverride = localhost R0 - HKCUSoftwareMicrosoftInternet ExplorerToolbar,LinksFolderName = Hyperlinks O1 - Hosts: 64.91.255.87 www.dcsresearch.com[...] O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:ProgrammerAdobeAcrobat 6.0ReaderActiveXAcroIEHelper.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:WINDOWSSystem32msdxm.ocx O4 - HKLM..Run: [UserFaultCheck] %systemroot%system32dumprep 0 -u O4 - HKLM..Run: [nwiz] nwiz.exe /install O4 - HKLM..Run: [NvCplDaemon] RUNDLL32.EXE C:WINDOWSSystem32NvCpl.dll,NvStartup O4 - HKLM..Run: [UpdReg] C:WINDOWSUpdreg.exe O4 - HKLM..Run: [CTStartup] C:ProgrammerCreativeSplash ScreenCTEaxSpl.EXE /run O4 - HKLM..Run: [Jet Detection] C:ProgrammerCreativeSBAudigyPROGRAMADGJDet.exe O4 - HKLM..Run: [pccguide.exe] "C:ProgrammerTrend MicroPC-cillin 2002pccguide.exe" O4 - HKLM..Run: [PCCClient.exe] "C:ProgrammerTrend MicroPC-cillin 2002PCCClient.exe" O4 - HKLM..Run: [Pop3trap.exe] "C:ProgrammerTrend MicroPC-cillin 2002Pop3trap.exe" O4 - HKLM..Run: [Win Loader1] XzyVxMSJKR O4 - HKLM..Run: [SmcService] C:PROGRA~1SygateSPFsmc.exe -startgui O4 - HKLM..RunServices: [Win Loader1] XzyVxMSJKR O4 - HKCU..Run: [NvMediaCenter] RUNDLL32.EXE C:WINDOWSSystem32NVMCTRAY.DLL,NvTaskbarInit O4 - HKCU..Run: [MSMSGS] "C:ProgrammerMessengermsmsgs.exe" /background O4 - HKCU..Run: [CTFMON.EXE] C:WINDOWSSystem32ctfmon.exe O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com[...] O16 - DPF: {3AF4DACE-36ED-42EF-9DFC-ADC34DA30CFF} (PatchInstaller.Installer) - file://D:contentincludeXPPatchInstaller.CAB O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com[...] O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net[...] O16 - DPF: {8B1BC605-C593-4865-8F5B-05517F0CD0BB} (MSSecurityAdvisorCD Class) - file://D:ContentincludemsSecUcd.cab O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com[...] O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com[...] O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com[...]
--

Epox 8RDA+ [] AMD Athlon XP2700+ [] 1024 MB Samsung DDR PC3200 [] MSI GeForce4 Ti4400 [] IBM DeskStar 120GXP 40GB [] Samsung SyncMaster 950p 19" Skærm [] MS Home Edition

#1
Aze
Super Supporter
30-05-2004 11:01

Rapporter til Admin

Prøv med Panda anti-virus. Der er aldrig blevet desinficeret så mange vira på min computer, som efter jeg installerede Panda! Havde bl.a. 4 vira som Norton ikke var i stand til at fjerne, selv med nyeste opdatering. Men Panda tager bare alt:-) Så kan kun anbefale dig at prøve med det! http://www.pandasoftware.com[...]
--
If you real, keep it real...

#2
Black
Semibruger
30-05-2004 12:01

Rapporter til Admin

Har fået Agobot.ez fjernet. Kørte en fejlsikret tilstand med netværk og kørte trend online virusscanner. Så nu er den fjernet. Men... Tror jeg har rester fra sasser worm. I joblist kan jeg se at der er en fil der hedder Isass.exe. Har søgt under dette navn og er heletiden stødt på at det er sasser worm. Der bliver også skrevet noget om at isass.exe og Isass.exe er 2 forskellige. Hvilken af de 2 er fuld legal Windows-fil?
--
Epox 8RDA+ [] AMD Athlon XP2700+ [] 1024 MB Samsung DDR PC3200 [] MSI GeForce4 Ti4400 [] IBM DeskStar 120GXP 40GB [] Samsung SyncMaster 950p 19" Skærm [] MS Home Edition

#3
Aze
Super Supporter
30-05-2004 12:36

Rapporter til Admin

#2 Ved det ikke helt, men jeg har ihvertfald en proces kørende der hedder lsass.exe, og jeg har ikke virus! Har du prøvet med Panda?
--
If you real, keep it real...

#4
Kim In Chul
Gigabruger
30-05-2004 12:42

Rapporter til Admin

Isass.exe er en helt normal proces, det er først alarmerende hvis du har op til flere af dem... Isass.exe er ligeså normalt som svchost.exe... Så det er helt iorden at den er der... Sasser ormen angriber vidst nok Isass.exe og det er nok os derfor at du finder så meget om den på i-net...(eller så danner den vist selv en proces som hedder Isass.exe, men den ligger uden for windowsystem32-mappen) Hvis den lå udenfor windowsystem32 så ville det sandsynligtvis være en virus... Prøv at smid en ny log herinde... Så vil jeg "PRØVE" at se om alt er væk... //Kim In Chul
--

#5
Armageddon
Maxi Nørd
30-05-2004 13:22

Rapporter til Admin

#0 Selvom du nu har fået fjernet ormen så er der stadig noget som skal renses. Start med at deaktivere systemgendannelse. Kør en ny scanning med HJT og sæt flueben ved disse: O1 - Hosts: 64.91.255.87 www.dcsresearch.com[...] O4 - HKLM..Run: [UserFaultCheck] %systemroot%system32dumprep 0 -u O4 - HKLM..Run: [Win Loader1] XzyVxMS_JKR O4 - HKLM..RunServices: [Win Loader1] XzyVxMS_JKR O16 - DPF: {3AF4DACE-36ED-42EF-9DFC-ADC34DA30CFF} (PatchInstaller.Installer) - file://D:contentincludeXPPatchInstaller.CAB O16 - DPF: {8B1BC605-C593-4865-8F5B-05517F0CD0BB} (MSSecurityAdvisorCD Class) - file://D:ContentincludemsSecUcd.cab Luk alle øvrige programvinduer så kun HJT er åben. Klik på ”Fix checked”. Luk programmet og genstart i fejlsikret tilstand. Find og slet disse: C:\WINDOWS\System32\WinMgnt.exe (den rigtige proces hedder WinMgmt.exe) D:\contentinclude\XP\PatchInstaller.CAB D:\Contentinclude\msSecUcd.cab (muligvis er WinMgnt.exe allerede slettet af virusprogrammet) Genstart normalt. Kør en ny scanning med HJT og smid loggen herind til kontrol.
--
/Armageddon - [email protected] http://www.mdegn.dk[...]

#6
b4me
Ultra Supporter
30-05-2004 13:27

Rapporter til Admin

det er en blaster version mener jeg da
--
"Jeg forbeholder mig ret til til tryk fejl"© "Hvis hjernen ikke kan, kan en hammer" B4Me™ http://b4me.frac.dk[...]

#7
Black
Semibruger
30-05-2004 13:54

Rapporter til Admin

#3 jo... har prøvet panda virusscanner, men den fandt ikke noget.. #4 okay... det kigger jeg på når jeg er hjemme igen... #5 når jeg er hjemme igen gør jeg det du har skrevet og smider jeg lige en ny log ind....
--
Epox 8RDA+ [] AMD Athlon XP2700+ [] 1024 MB Samsung DDR PC3200 [] MSI GeForce4 Ti4400 [] IBM DeskStar 120GXP 40GB [] Samsung SyncMaster 950p 19" Skærm [] MS Home Edition

#8
Black
Semibruger
30-05-2004 16:45

Rapporter til Admin

#5 kunne ikke finde D:contentincludeXPPatchInstaller.CAB og D:ContentincludemsSecUcd.cab, men fandt en WinMgnt.exe.. Logfile of HijackThis v1.97.7 Scan saved at 16:45:43, on 30-05-2004 Platform: Windows XP SP1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:WINDOWSSystem32smss.exe C:WINDOWSsystem32winlogon.exe C:WINDOWSsystem32services.exe C:WINDOWSsystem32lsass.exe C:WINDOWSsystem32svchost.exe C:WINDOWSSystem32svchost.exe C:ProgrammerSygateSPFsmc.exe C:WINDOWSExplorer.EXE C:WINDOWSsystem32spoolsv.exe C:ProgrammerTrend MicroPC-cillin 2002pccguide.exe C:ProgrammerTrend MicroPC-cillin 2002PCCClient.exe C:ProgrammerTrend MicroPC-cillin 2002Pop3trap.exe C:ProgrammerMessengermsmsgs.exe C:WINDOWSSystem32ctfmon.exe C:WINDOWSSystem32 vsvc32.exe C:ProgrammerTrend MicroPC-cillin 2002Tmntsrv.exe C:ProgrammerTrend MicroPC-cillin 2002PCCPFW.exe C:Documents and SettingsPitzblackDokumenterDownloadDriverVirus stuffhjt.exe R1 - HKCUSoftwareMicrosoftWindowsCurrentVersionInternet Settings,ProxyOverride = localhost R0 - HKCUSoftwareMicrosoftInternet ExplorerToolbar,LinksFolderName = Hyperlinks O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:ProgrammerAdobeAcrobat 6.0ReaderActiveXAcroIEHelper.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:WINDOWSSystem32msdxm.ocx O4 - HKLM..Run: [nwiz] nwiz.exe /install O4 - HKLM..Run: [NvCplDaemon] RUNDLL32.EXE C:WINDOWSSystem32NvCpl.dll,NvStartup O4 - HKLM..Run: [UpdReg] C:WINDOWSUpdreg.exe O4 - HKLM..Run: [CTStartup] C:ProgrammerCreativeSplash ScreenCTEaxSpl.EXE /run O4 - HKLM..Run: [Jet Detection] C:ProgrammerCreativeSBAudigyPROGRAMADGJDet.exe O4 - HKLM..Run: [pccguide.exe] "C:ProgrammerTrend MicroPC-cillin 2002pccguide.exe" O4 - HKLM..Run: [PCCClient.exe] "C:ProgrammerTrend MicroPC-cillin 2002PCCClient.exe" O4 - HKLM..Run: [Pop3trap.exe] "C:ProgrammerTrend MicroPC-cillin 2002Pop3trap.exe" O4 - HKLM..Run: [SmcService] C:PROGRA~1SygateSPFsmc.exe -startgui O4 - HKLM..Run: [TrojanScanner] C:ProgrammerTrojan RemoverTrjscan.exe O4 - HKCU..Run: [MSMSGS] "C:ProgrammerMessengermsmsgs.exe" /background O4 - HKCU..Run: [CTFMON.EXE] C:WINDOWSSystem32ctfmon.exe O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com[...] O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com[...] O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net[...] O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com[...] O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com[...] O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com[...]
--
Epox 8RDA+ [] AMD Athlon XP2700+ [] 1024 MB Samsung DDR PC3200 [] MSI GeForce4 Ti4400 [] IBM DeskStar 120GXP 40GB [] Samsung SyncMaster 950p 19" Skærm [] MS Home Edition

#9
Armageddon
Maxi Nørd
31-05-2004 03:22

Rapporter til Admin

#8 Din log er helt ren nu. Du kan roligt aktivere systemgendannelse igen.
--
/Armageddon - [email protected] http://www.mdegn.dk[...]

#10
Black
Semibruger
31-05-2004 09:28

Rapporter til Admin

#9 Jeg takker mange gange for hjælpen ;)
--
Epox 8RDA+ [] AMD Athlon XP2700+ [] 1024 MB Samsung DDR PC3200 [] MSI GeForce4 Ti4400 [] IBM DeskStar 120GXP 40GB [] Samsung SyncMaster 950p 19" Skærm [] MS Home Edition